Palo Alto Networks пусна обновления за сигурност за уязвимост от тип нулев ден с висока степен на опасност за отдалечено изпълнение на код (RCE) в PAN-OS, проследявана като CVE-2026-0322, която е била експлоатирана при атаки срещу защитни стени.
Уязвимостта засяга интерфейса за управление на PAN-OS и позволява на удостоверени атакуващи с мрежов достъп да изпълняват код с права на root върху уязвимите устройства.
Palo Alto Networks потвърди в бюлетин за сигурност, публикуван в сряда, че е наблюдавала ограничено експлоатиране на уязвимостта при реални атаки.
„Наблюдавано е много ограничено експлоатиране, насочено срещу интерфейса за управление на Palo Alto Networks“, заявиха от компанията.
Уязвимостта има оценка на сериозност от 8.6 и засяга защитни стени от сериите PA-Series и VM-Series, както и виртуални устройства Panorama и хардуерни устройства от серията M-Series. От Palo Alto уточняват, че Cloud NGFW и Prisma Access не са засегнати.
За да експлоатират уязвимостта, на атакуващите са необходими валидни идентификационни данни и мрежов достъп до интерфейса за управление на PAN-OS.
Поради тази причина Palo Alto Networks препоръчва достъпът до интерфейса за управление да бъде ограничен единствено до доверени вътрешни IP адреси.
Компанията е пуснала корекции за сигурност за засегнатите версии на PAN-OS 10.2, 11.1, 11.2, 12.1 и 12.2, като корекция за PAN-OS 11.2.16 се очаква на 15 октомври.
Клиентите, които работят с по-стари и неподдържани версии, трябва да надстроят до поддържано издание.
От Palo Alto посочват, че няма известни обходни решения за уязвимостта, но клиентите с абонамент за Threat Prevention могат да активират сигнатури, осигуряващи ограничена защита срещу известни модели на атака.
„Ограниченото покритие в Threat Prevention означава, че макар известните модели на атака да могат да бъдат идентифицирани чрез текущия Threat ID, може да съществуват вариации, които в момента не могат да бъдат засечени“, предупреждават от Palo Alto.
„Ако това CVE и изискваната конфигурация за излагане на риск засягат вашата среда, препоръчваме да надстроите до незасегната версия.“
Уязвимостта е открита вътрешно от Сурадж Сидхарудх (Suraj Siddharudh), главен изследовател по сигурността на продуктите в Palo Alto Networks.
Компанията сподели и три IP адреса, използвани за експлоатиране на уязвимостта: 66.42.72[.]14, 208.83.239[.]114 и 149.248.47[.]234.
BleepingComputer се свърза с Palo Alto Networks, за да разбере кога е започнала експлоатацията, кой стои зад атаките и дали атакуващите са компрометирали защитните стени или са ги използвали за достъп до вътрешни мрежи.
Американската агенция за киберсигурност и сигурност на инфраструктурата (CISA) добави CVE-2026-0322 към каталога с известни експлоатирани уязвимости (KEV) и изисква от федералните цивилни агенции да отстранят уязвимостта до 17 октомври.